Gefälschte QR-Codes und Quishing: so erkennst du sie, bevor du scannst

Was ist ein gefälschter QR-Code?

Ein gefälschter QR-Code ist ein QR-Code, den Betrüger platziert haben und der statt dessen, was sein Umfeld vermuten lässt, eine Phishing-Seite, eine gefälschte Zahlungsseite oder einen Download öffnet. Das Muster ist ein völlig gewöhnlicher QR-Code - nichts in den Quadraten kennzeichnet ihn als Fälschung. Gefälscht wird ein Code durch den Ort, an dem er angebracht wurde, und das Ziel, zu dem er führt.

Ein QR-Code speichert Text, und bei fast jedem Betrug ist dieser Text eine Webadresse, genau wie bei einem gewöhnlichen URL-QR-Code. Das Scannen führt auf dem Handy nichts aus; die Kamera liest die Adresse und bietet an, sie zu öffnen. Der Schaden beginnt auf der Seite, die sich öffnet: eine Kopie der Zahlungsseite eines Parkplatzbetreibers, eine Anmeldeseite, die wie Microsoft 365 aussieht, ein Formular zur erneuten Paketzustellung, das nach Kartendaten fragt, oder die Aufforderung, eine App zu installieren.

Das FBI warnte am 18. Januar 2022 in einer öffentlichen Bekanntmachung davor: Kriminelle manipulierten sowohl digitale als auch physische QR-Codes, um Opfer auf schädliche Seiten umzuleiten, die Anmelde- und Finanzdaten stehlen. Die FTC wiederholte die Warnung am 6. Dezember 2023 in einem Verbraucherhinweis.

Was ist Quishing?

Quishing ist Phishing über einen QR-Code statt über einen anklickbaren Link, ein Wort, das die Sicherheitsbranche aus QR und Phishing gebildet hat. Der QR-Code kommt meist in einer E-Mail oder einem PDF-Anhang, der einen vertrauten Absender nachahmt - ein Passwort-Reset, ein Hinweis zur Mehrfaktor-Authentifizierung, ein geteiltes Dokument oder eine Paketzustellung - und dich bittet, ihn mit dem Handy zu scannen.

E-Mail-Quishing funktioniert aus zwei technischen Gründen. Erstens steckt der Link in einem Bild: Das britische National Cyber Security Centre wies im Februar 2024 darauf hin, dass nicht alle E-Mail-Sicherheitswerkzeuge Bilder scannen, sodass ein Link, der als Text blockiert würde, als QR-Code durchgehen kann. Zweitens holt das Scannen das Opfer von einem Arbeitsrechner auf ein privates Handy, das, wie Cisco Talos im Februar 2024 feststellte, außerhalb der meisten Sicherheitsüberwachung in Unternehmen liegt.

E-Mail-Filter holen auf. Microsoft gab im November 2024 bekannt, dass Defender for Office 365 inzwischen URLs, die in QR-Code-Bildern versteckt sind, früh im Mailfluss extrahieren kann, sodass sie wie jeder andere Link geprüft werden. Das verkleinert die Lücke, schließt sie aber nicht, denn derselbe Code kann stattdessen als PDF, Brief oder Textnachricht ankommen.

Ein Merkmal trennt das meiste Quishing von echter Post: Ein seriöser Dienst bittet dich selten, einen QR-Code aus einer E-Mail auf deinem Computer zu scannen, um dich anzumelden. Eine Nachricht, die dich drängt, zum Handy zu greifen und schnell zu scannen, um dein Konto zu behalten, ist das Muster, bei dem du anhalten solltest.

Wo gefälschte QR-Codes auftauchen

Gefälschte QR-Codes tauchen überall dort auf, wo Menschen schnell zahlen oder handeln wollen und nicht leicht prüfen können, wer einen Code dort angebracht hat. Das NCSC kam im Februar 2024 zu dem Schluss, dass der meiste QR-Code-Betrug an offenen Orten wie Bahnhöfen und Parkplätzen passiert. Die dokumentierten Fälle häufen sich in wenigen Umfeldern:

Mehrere Kommunen haben auf Parkbetrug reagiert, indem sie klar sagen, dass sie keine QR-Codes verwenden. Kensington and Chelsea erklärte im Januar 2025, dass sein Parksystem überhaupt keine QR-Codes nutzt, und Hartlepool erklärte im Mai 2025, dass seine Parkscheinautomaten nie welche verwenden werden. Ein QR-Code an einem Automaten, dessen Betreiber das sagt, ist per Definition gefälscht.

So erkennst du einen gefälschten QR-Code

Einen gefälschten QR-Code erkennst du, indem du vor dem Öffnen drei Dinge prüfst: ob der Code ein Aufkleber auf etwas anderem ist, ob du an dieser Stelle überhaupt einen Code erwartet hast, und ob die Domain in der Vorschau des Handys zu der Organisation gehört, mit der du es zu tun zu haben glaubst. Die Domainprüfung fängt am meisten ab, weil sie die eine ist, die Betrüger nicht fälschen können.

Eine Domain ist der Name der Website, die ein Link öffnet, der Teil zwischen https:// und dem nächsten einfachen Schrägstrich. In https://parking.example-city.gov/pay ist die Domain parking.example-city.gov; in https://example-city.gov.pay-now.io ist sie pay-now.io, egal, was am Anfang steht. Lies von rechts: Der Teil direkt vor dem ersten einfachen Schrägstrich entscheidet, wo du bist.

Ein Schloss oder https am Anfang des Links bedeutet nicht, dass eine Seite echt ist. Es heißt nur, dass die Verbindung verschlüsselt ist, und Betrugsseiten nutzen https so selbstverständlich wie echte.

So prüfst du einen QR-Code, bevor du ihn öffnest

Prüf einen QR-Code vor dem Öffnen, indem du den Link liest, den das Handy dir zeigt, ohne darauf zu tippen. Auf iPhone und iPad lautet Apples Anleitung, die Kamera auf den Code zu richten und dann auf den Link zu tippen, um ihn zu öffnen - zwischen diesen beiden Schritten liest du ihn. Kamera-Apps unter Android und Google Lens zeigen den Link meist als Schaltfläche zum Antippen, was dir denselben Moment zum Lesen gibt.

1. Den Code ansehen, bevor du ihn scannst. Fahr mit dem Finger über den Rand des Codes. Ein Aufkleber über einem gedruckten Code, ein Code an einem Automaten mit eigenem Kartenleser oder ein Code auf einem Zettel ohne Namen einer Organisation sind Gründe, hier aufzuhören.
2. Mit der Kamera des Handys scannen. Nimm die Kamera-App oder Google Lens, keine heruntergeladene Scanner-App. Das FBI und das NCSC raten beide, den im Handy eingebauten Scanner zu verwenden.
3. Die Domain in der Vorschau lesen. Lies vor dem Antippen die Domain, die das Handy anzeigt. Es sollte die eigene Domain der Organisation sein, richtig geschrieben, ohne etwas Merkwürdiges dahinter.
4. Ein Foto decodieren, wenn die Vorschau unklar ist. Fotografier den Code und öffne das Foto in einem QR-Code-Scanner im Browser, der den vollständigen Link als Text zeigt, ohne ihn zu öffnen.
5. Zahlungen und Anmeldungen selbst aufrufen. Führt der Code zu einer Zahlung oder einer Anmeldung, schließ ihn und tipp stattdessen die Adresse der Organisation ein oder öffne ihre offizielle App. Das FBI rät, nicht über eine Seite zu zahlen, auf die dich ein QR-Code gebracht hat.

Den vollständigen Link zu lesen lohnt sich, wenn die Vorschau nur einen Teil davon zeigt. Unit 42, das Forschungsteam von Palo Alto Networks, stellte im April 2025 fest, dass Kamera-Apps nur die Domain zeigen und dass Betrüger Opfer über Weiterleitungen auf seriösen Websites schicken, damit die erste Domain harmlos aussieht. KoloQR, ein kostenloser QR-Code-Generator mit runden und individuell geformten QR-Codes, hat einen QR-Code-Scanner, der einen Screenshot oder ein Foto in deinem Browser liest, nichts hochlädt und den ganzen Link als Text zeigt, einschließlich eines darin versteckten Weiterleitungsparameters. Weitere Wege, einen Code aus einem Bild zu lesen, findest du unter QR-Code aus einem Bild scannen.

Sind QR-Codes sicher?

QR-Codes sind so sicher wie der Link oder die Aktion darin. Das Scannen mit der Handykamera liest nur den Text; das Risiko beginnt, wenn du den Link öffnest, Daten auf der Seite eingibst, eine angebotene App installierst oder eine Aktion bestätigst, etwa einem WLAN beizutreten oder eine Zahlung zu starten. Ein Code, den du erwartet hast, von einer Organisation, der du vertraust, auf etwas, das sie gedruckt hat, ist ein geringes Risiko.

Auch Handys selbst hatten schon QR-Fehler, weshalb Updates auf der Liste der FTC stehen. Im März 2018 zeigte ein Forscher, dass die Kamera-App von iOS 11 in ihrer Vorschau eine Website anzeigen und eine andere öffnen konnte; Apple behob das in iOS 11.3. Einer Vorschau kannst du nur auf einem aktuellen Handy vertrauen.

Andere Inhalte verlangen etwas anderes als einen Link. Ein WLAN-QR-Code fragt, ob du einem Netzwerk beitreten willst, ein Kontaktcode, ob du eine Visitenkarte speichern willst, und ein Telefon- oder SMS-Code bereitet einen Anruf oder eine Nachricht vor, die du absendest. Lies, was das Handy vorschlägt, bevor du zustimmst, genau wie du einen Link lesen würdest.

Heruntergeladene Scanner-Apps erhöhen das Risiko, statt es zu senken. Die FBI-Bekanntmachung von 2022 rät davon ab, eine QR-Code-Scanner-App herunterzuladen, weil die meisten Handys schon einen in der Kamera haben. Ein separater Scanner ist eine weitere App mit Berechtigungen auf deinem Handy, und er liest Codes nicht besser als die Kamera.

Was tun, wenn du einen gefälschten QR-Code gescannt hast?

Wenn du einen gefälschten QR-Code nur gescannt und die Seite geschlossen hast, ist sehr wahrscheinlich alles in Ordnung: Einen Link zu lesen gibt niemandem deine Daten. Wenn du etwas auf der Seite eingegeben hast, handle noch am selben Tag, in der Reihenfolge unten. Der FTC-Hinweis vom Januar 2025 nennt dieselben Schritte für alle, die Daten auf einer von einem QR-Code geöffneten Seite eingetippt haben.

1. Karten- oder Bankdaten: Ruf die Nummer auf der Rückseite deiner Karte an und bitte die Bank, sie zu sperren und die letzten Zahlungen zu prüfen.
2. Ein Passwort: Ändere es auf der echten Website und auf jeder anderen Website, auf der du dasselbe nutzt. Schalte die Zwei-Faktor-Authentifizierung ein.
3. Eine installierte App: Lösch sie und prüf in den Einstellungen des Handys, ob sie ein Geräteverwaltungsprofil oder eine Berechtigung hinzugefügt hat.
4. Persönliche Daten wie Adresse oder Geburtsdatum: Prüf deine Bonitätsauskünfte und behalte deine Kontoauszüge auf neue Konten im Blick.
5. Melde es: dem Parkplatzbetreiber oder der Kommune bei einem Aufkleber, deinem E-Mail-Anbieter oder der IT-Abteilung deines Arbeitgebers bei einer E-Mail, und in den USA dem IC3 des FBI oder der FTC, in Großbritannien Action Fraud.

Klebte der Code an einem Parkautomaten, sag dem Betreiber Bescheid, damit der Aufkleber verschwindet, bevor der nächste Fahrer den Automaten nutzt, und bezahl dein Parken über den offiziellen Weg, damit du nicht obendrein einen echten Strafzettel bekommst.

Wie Unternehmen ihre gedruckten QR-Codes schützen

Unternehmen schützen gedruckte QR-Codes vor allem, indem sie einen darübergeklebten Aufkleber leicht erkennbar und das echte Ziel leicht überprüfbar machen. Keine offizielle Norm regelt das; die Maßnahmen unten sind die praktischen, die sich aus der Funktionsweise der Parkbetrügereien ergeben, und sie gelten für eine Speisekarte, ein Zahlungsschild oder ein Plakat gleichermaßen.

• Druck die Domain unter den Code. Eine Zeile wie "Öffnet pay.yourshop.com" gibt der scannenden Person etwas, das sie mit der Vorschau vergleichen kann. Ein Aufkleber müsste auch den Text verdecken.
• Druck den Code ins Schild, statt ihn aufzukleben. Ein Code, der in die Gestaltung gedruckt, laminiert oder hinter Glas ist, verrät einen aufgeklebten Ersatz sofort.
• Kontrollier unbeaufsichtigte Schilder nach Plan. Einige britische Kommunen, die gefälschte Aufkleber gefunden haben, lassen Automaten inzwischen von Mitarbeitenden prüfen und die Aufkleber entfernen; ein Zahlungsschild, das du vom Tresen aus nicht sehen kannst, verdient dasselbe.
• Nutz deine eigene Domain. Einem Code, der yourshop.com öffnet, vertraut man leichter als einem, der einen Kurzlink-Dienst öffnet, und er bleibt unter deiner Kontrolle.
• Nenn auf Zahlungsschildern den Empfänger. Druck bei einem Venmo-QR-Code oder einem PayPal-QR-Code den Benutzernamen neben den Code, damit Zahlende ihn mit der Seite vergleichen können, die sich öffnet.
• Sag der Kundschaft, was du nicht nutzt. Nimmst du nie Zahlungen per QR-Code an, schreib das an den Automaten, wie es mehrere Kommunen inzwischen tun.

Statische Codes lassen sich leichter überprüfen, weil der im Muster gespeicherte Link das endgültige Ziel ist. Ein dynamischer Code schickt jeden Scan zuerst über eine Weiterleitung, was nützlich ist, wenn sich das Ziel ändern muss, aber bedeutet, dass der sichtbare Link nicht die Seite ist, die sich öffnet. Statische vs. dynamische QR-Codes erklärt, wann welche Art die richtige Wahl ist.

Brauchst du einen Fake-QR-Code für ein Mockup oder einen Test?

Für ein Design-Mockup, eine Requisite oder einen Testdruck nimm einen echten QR-Code, der auf eine harmlose reservierte Adresse wie https://example.com zeigt. RFC 2606 reserviert example.com, example.net und example.org für Dokumentation, der Code scannt also, öffnet eine Platzhalterseite und kann nie jemanden an ein unerwartetes Ziel führen, nachdem die Domain den Besitzer gewechselt hat.

Vermeide zwei Abkürzungen. Ein zufälliges Muster aus Quadraten, das kein gültiger Code ist, sieht für alle, die QR-Codes kennen, falsch aus und lässt einen Scanner hängen. Ein Code, der auf eine echte Website zeigt, die dir nicht gehört - oder auf einen Kurzlink, der später neu vergeben werden könnte -, kann jemanden, der dein Mockup scannt, auf eine Seite schicken, die du nie gesehen hast.

Der KoloQR-Generator erstellt in wenigen Sekunden einen Platzhaltercode aus jeder Adresse, in der Form und den Farben des endgültigen Designs, sodass das Mockup die echte Größe und Optik zeigt. Tausch den echten Link ein, bevor die Druckvorlage in den Druck geht.